2025年移动安全工程师考试题库（附答案和详细解析）（1014）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下Android组件中，若未正确配置导出属性最易导致任意启动风险的是？

A.ContentProvider

B.Activity

C.BroadcastReceiver

D.Service

答案：B

解析：Android的Activity组件若未将android:exported属性设置为false（或未显式声明时默认值为false但被错误修改），可能被其他应用通过Intent启动，导致敏感界面暴露（如登录界面）。其他组件中，ContentProvider主要风险是数据越权访问，BroadcastReceiver是广播劫持，Service是跨进程调用失控，均非“任意启动”的典型场景。

iOS应用沙盒机制的核心限制是？

A.禁止访问系统相册

B.仅能访问应用自身目录下的文件

C.限制应用运行内存

D.禁止调用摄像头

答案：B

解析：iOS沙盒机制通过文件系统隔离，每个应用仅能访问自身沙盒目录（如Documents、Library等），无法直接访问其他应用或系统根目录。其他选项中，相册、摄像头访问属于权限控制范畴，内存限制是系统资源管理，均非沙盒核心。

移动应用网络通信中，HTTPS协议的关键安全保障是？

A.URL编码

B.TLS加密

C.端口限制

D.重定向拦截

答案：B

解析：HTTPS通过TLS协议对传输数据加密，防止中间人窃听或篡改。URL编码用于处理特殊字符，端口限制是网络配置，重定向拦截是额外防护措施，均非HTTPS核心安全机制。

以下工具中，专门用于Android应用代码混淆的是？

A.Apktool

B.ProGuard

C.Frida

D.Charles

答案：B

解析：ProGuard是Android官方推荐的代码混淆工具，可混淆类名、方法名并移除冗余代码。Apktool用于反编译APK，Frida是动态调试工具，Charles是抓包工具，均非混淆工具。

移动设备管理（MDM）的核心功能不包括？

A.设备注册与激活

B.远程擦除数据

C.应用分发与管控

D.芯片级硬件漏洞修复

答案：D

解析：MDM主要管理设备的软件配置（如策略下发、应用管控）和远程操作（如擦除），无法修复芯片级硬件漏洞（需厂商固件更新）。其他选项均为MDM典型功能。

以下反编译工具中，最适用于分析APK文件结构的是？

A.IDAPro

B.JEB

C.Apktool

D.Ghidra

答案：C

解析：Apktool专门用于反编译APK文件，可将资源文件（如XML、图片）和Dex代码还原为可读格式。IDAPro、JEB、Ghidra主要用于二进制代码逆向分析，非APK结构解析的首选。

移动应用使用内部存储（InternalStorage）保存敏感数据时，默认的访问权限是？

A.全局可读

B.仅应用自身可读

C.同签名应用可读

D.系统服务可读

答案：B

解析：Android内部存储（如getFilesDir()目录）默认仅应用自身可访问，其他应用需通过ContentProvider或特殊权限才能访问。iOS沙盒目录同理，默认私有。

以下移动安全测试方法中，属于动态分析的是？

A.反编译APK检查代码逻辑

B.使用静态扫描工具检测漏洞

C.运行应用并通过抓包工具监控网络流量

D.分析AndroidManifest.xml的组件配置

答案：C

解析：动态分析需在应用运行时监控行为（如抓包、调试）。反编译、静态扫描、Manifest分析均属于静态分析，不涉及运行时行为。

根据《个人信息保护法》，移动应用收集用户位置信息的关键合规要求是？

A.无需用户同意即可收集

B.明确告知收集目的、方式和范围

C.仅需在隐私政策中提及即可

D.可共享给任意第三方

答案：B

解析：《个人信息保护法》要求个人信息处理需遵循“最小必要”原则，并明确告知用户收集目的、方式、范围，获得同意。其他选项均违反法律要求。

防范移动应用中间人（MITM）攻击的有效措施是？

A.禁用HTTPS

B.启用HTTP重定向

C.实施证书固定（CertificatePinning）

D.使用明文传输敏感数据

答案：C

解析：证书固定通过在应用中绑定服务器证书公钥，防止攻击者使用伪造证书实施MITM。其他选项均会增加攻击风险。

二、多项选择题（共10题，每题2分，共20分）

以下属于Android应用常见安全风险的有？（）

A.Activity未限制android:exported属性导致任意启动

B.使用SharedPreferences明文存储用户密码

C.WebView组件启用file://协议访问本地文件

D.使用